当前位置：文江博客话题详情

SQL 注入和 Postgres“CREATE SCHEMA”

发布于 2024-11-06 12:00:29 字数 219 浏览 0 评论 0原文

在 postgres 中使用 CREATE SCHEMA schema_name 时，如果需要用户输入 schema_name 参数，如何防止 SQL 注入？

schema_name 不能是带引号的值，因此 ActiveRecord::Base.sanitize() 将不起作用。（如果您使用导轨）。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

长不大的小祸害 2024-11-13 12:00:29

允许用户创建模式（通常是执行 DDL）是相当不寻常的（甚至是可怕的）。您确定要这样做吗？

在任何情况下，您都可以做通常的事情：要么清理您的输入（我猜如果您允许用户创建模式，至少您可以限制允许的名称 - 例如仅字母数字等），和/或使用准备好的语句，绑定架构名称（这取决于您的语言/环境）。

回复收藏 0 原文

若水般的淡然安静女子 2024-11-13 12:00:29

用户永远不应该拥有 DDL 权限，他们不需要它，而且它给了他们太多的权力。

您可以使用带有 quote_ident 的 SQL 函数来创建模式并避免 SQL 注入：

    CREATE OR REPLACE FUNCTION new_schema(IN _schemaname TEXT) 
    RETURNS bool 
    LANGUAGE plpgsql 
    AS
    $
    BEGIN;
      EXECUTE 'CREATE SCHEMA ' || quote_ident(_schemaname);

      RETURN true;
    END;
    $
    SECURITY DEFINER;

-- test:
SELECT new_schema('Frank; drop database template1');

Users should never have DDL permissions, they don't need it and it gives them too much power.

You could use a SQL function using quote_ident, to create a schema and avoid SQL injection:

    CREATE OR REPLACE FUNCTION new_schema(IN _schemaname TEXT) 
    RETURNS bool 
    LANGUAGE plpgsql 
    AS
    $
    BEGIN;
      EXECUTE 'CREATE SCHEMA ' || quote_ident(_schemaname);

      RETURN true;
    END;
    $
    SECURITY DEFINER;

-- test:
SELECT new_schema('Frank; drop database template1');

回复收藏 0 原文